接口未授权访问/调用测试_测试接口请求未授权

作者：寸_铁 | 2024-08-06 04:02:10

踩

测试接口请求未授权

接口未授权访问/调用测试

在正常的业务中，敏感功能的接口需要对访问者的身份进行验证，验证后才允许调用接口进行操作。如果敏感功能接口没有身份校验，那么攻击者无须登录或者验证即可调用接口进行操作。在安全测试中，我们可以使用Burp Suite作为HTTP代理，在登录状态下记录所有请求和响应信息，筛选出敏感功能、返回敏感数据的请求。在未登录的情况下，使用浏览器访问对应敏感功能的请求，如果返回的数据与登录状态后的一致，则存在漏洞或缺陷。

作者：

锦凡歆在 ‘来疯’ 直播唱歌最好听

修复建议

（1）采用Token校验的方式，在url中添加一个Token参数，只有Token验证通过才返回接口数据且Token使用一次后失效。

（2）在接口被调用时，后端对会话状态进行验证，如果已经登录，便返回接口数据；如果未登录，则返回自定义的错误信息

声明：本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有侵权的内容，请联系我们。转载请注明出处：【wpsshop博客】

接口未授权访问/调用测试_测试接口 请求未授权

作者：

锦凡歆在 ‘来疯’ 直播唱歌最好听

接口未授权访问/调用测试_测试接口请求未授权